Bir şirket, AWS hesapları için SAML tabanlı SSO ile üçüncü taraf bir kimlik sağlayıcı (IdP) kullanmaktadır. IdP'nin süresi dolmuş bir imzalama sertifikasını yenilemesinden sonra, kullanıcılar oturum açmaya çalışırken şu hatayı alırlar: Error: Response Signature Invalid (Service: AWSSecurityTokenService; Status Code: 400; Error Code: InvalidIdentityToken). Bir güvenlik mühendisinin operasyonel yükü en aza indirirken bu sorunu çözmesi gerekmektedir. Hangi çözüm bu gereksinimleri karşılar?

Bu sorun, IdP'nin imzalama sertifikasını yenilemesi ve AWS IAM'deki IdP varlığının eski sertifikayı kullanmaya devam etmesi nedeniyle ortaya çıkar. SAML metadata dosyası, IdP'nin genel anahtarını (imzalama sertifikasını) içerir. IdP sertifikasını yenilediğinde, bu dosya da güncellenir. Bu nedenle, güncellenmiş SAML metadata dosyasını IdP'den indirip AWS CLI kullanarak IAM'deki IdP varlığını güncellemek, AWS'nin yeni genel anahtarı kullanmasını sağlayarak sorunu çözer. Bu yöntem, operasyonel yükü en aza indirir çünkü manuel olarak özel anahtar veya imza yüklemek yerine tüm metadata dosyasını günceller. Diğer seçenekler ya yanlış anahtar tipini (özel anahtar) yüklemeyi önerir ya da doğru anahtarı yanlış yöntemle (imza) yüklemeyi önerir veya AWS'nin otomatik olarak getirmesi gibi mevcut olmayan bir özelliği belirtir.